Meta/Facebook: wat kan een app versturen zonder Facebook-scherm?

Wat zit er in de app ingebouwd?

De Facebook Android SDK is een bibliotheek die apps met Meta-diensten verbindt. De onderdelen hebben verschillende taken: App Events meet activiteit, Audience Network levert advertenties. Echte sociale aanmelding of ingesloten inhoud heeft weer een andere rol. Alleen de naam Facebook vertelt dus niet welk onderdeel draait. Officiële Android-SDK-broncode.

Een appgebeurtenis is een record van bijvoorbeeld het openen van de app of een aankoop. Appcode kan die expliciet doorgeven, maar een automatische SDK-functie kan ze ook verzamelen. Een advertentie-ID is een apparaatidentificator voor advertentiedoeleinden. Een SDK kan daarnaast andere identificatoren bijhouden; alleen dat ene ID verwijderen stopt gebeurtenissen dus niet vanzelf.

Waarom zegt “ik ben nooit bij Facebook ingelogd” niet alles?

Denkbeeldig voorbeeld: een weerapp bevat een aanroep voor aankoopgebeurtenissen en een ID per installatie. Die aanroep kan plaatsvinden zonder ooit een Facebook-inlogscherm te tonen. Dit verduidelijkt het technische verschil tussen een sociaal account gebruiken en met een dienst communiceren. Het is geen opgenomen aankoopverzoek van jouw telefoon.

Privacy International toonde in december 2018 met verkeersonderzoek automatische Facebook-SDK-overdrachten in andere Android-apps aan, ook zonder Facebook-aanmelding. Dat historische onderzoek verklaart waarom opstartgedrag en automatische verzameling aandacht verdienen. Het bewijst niet wat de hier onderzochte versies uit 2026 verstuurden. Onderzoek van Privacy International.

Wat vonden we in de weerapps?

Buienalarm 4.32.0 bevat App Events-opstart- en toestemmingspaden, aankoopgerelateerde aanroepen en een afzonderlijk uitvoerbaar Audience Network-bestand. De patch schakelt providers en opnieuw inschakelen via toestemming uit, levert een inactief loggerobject waar de app dat verwacht, stopt de gevonden aanroepen en verwijdert het advertentiebestand. De exacte Meta-uploadhost is in die audit niet vastgesteld. Vastgezette Buienalarm-audit.

Weeronline 3.61.0 bevat een opstartprovider, een toestemmingscontroller die verzameling inschakelt en een aankooplogger. Deze paden en optionele advertentie-ID-verzameling worden onderdrukt. De SDK bouwt Graph-bestemmingen op. Een expliciete verwijzing naar graph.facebook.com dient daarnaast voor functionele Instagram-inhoud. Het hele domein blokkeren zou verder gaan dan appgebeurtenissen stoppen. Weeronline-audit, onderbouwing van bestemmingen.

Wat blijft onzeker?

De bevindingen tonen codepaden en patchgrenzen, niet iedere mogelijke overdracht tijdens uitvoering of verdere koppeling op servers. Ze bewijzen geen doorverkoop, bewaartermijn of koppeling aan een persoonlijk Meta-profiel.

Bewijs beoordeeld op 28 oktober 2026. Lees verder over identificatoren, toestemming en de methode.